home *** CD-ROM | disk | FTP | other *** search
/ OS/2 Shareware BBS: Security / Security.zip / swp401.zip / SWADMIN.HLP (.txt) < prev    next >
OS/2 Help File  |  1996-06-12  |  49KB  |  1,416 lines
  1.  
  2. ΓòÉΓòÉΓòÉ 1. Cover ΓòÉΓòÉΓòÉ
  3.  
  4.                           THE SECURE WORKPLACE FOR OS/2
  5.                                   Version 4.01B
  6.                    Copyright (c) Syntegration Inc. 1993, 1996.
  7.                               All Rights Reserved.
  8.                             3811 Schaefer Avenue, #J
  9.                              Chino, California 91710
  10.                                      U.S.A.
  11.                                Tel: 1-909-464-9450
  12.                                Fax: 1-909-627-3541
  13.                         E-Mail:73707.3331@COMPUSERVE.COM
  14.               World Wide Web URL: http://www.primenet.com/~syntegrn
  15.  
  16.  
  17. ΓòÉΓòÉΓòÉ 2. License Agreement and Limited Warranty ΓòÉΓòÉΓòÉ
  18.  
  19. This program, including its code and documentation, appearance, structure and 
  20. organization is a product of Syntegration and is protected by copyright and 
  21. other laws. Title to the program or any copy, modification or merged portion of 
  22. the program shall at all times remain with Syntegration. 
  23.  
  24. LICENSE - The following restricted rights are granted: 
  25.  
  26. You may: 
  27.  
  28.  1. Use the Program only on a single computer. The Program may be transferred 
  29.     to and used on another computer as long as the program is de-installed from 
  30.     the original computer, and under no circumstances be used on more than one 
  31.     computer at a time. 
  32.  
  33.  2. If you purchased an Enterprise Edition license for this Program, you may 
  34.     use the Program on as many computers as you have licensed. 
  35.  
  36.  3. Transfer the Program with this license to another person, but only if the 
  37.     other person agrees to accept the terms and conditions of this agreement. 
  38.     If you transfer the Program and License, you must at the same time either 
  39.     transfer all copies of the program and its documentation to the same person 
  40.     or destroy those not transferred. Any transfer terminates your license. 
  41.  
  42.  4. Include the program as part of a system that you resell. If you include the 
  43.     program as part of another system you must include this license agreement, 
  44.     acknowledge our copyright in your system documentation, and comply with the 
  45.     transfer clause. 
  46.  
  47. YOU MAY NOT: 
  48.  
  49.  1. TRANSFER OR RENT THE PROGRAM OR USE, COPY OR  MODIFY THE PROGRAM EXCEPT AS 
  50.     PERMITTED IN THIS AGREEMENT. 
  51.  
  52.  2. DECOMPILE, REVERSE ASSEMBLE OR OTHERWISE REVERSE ENGINEER THE PROGRAM. 
  53.  
  54.  3. REPRODUCE, DISTRIBUTE OR REVISE THE PROGRAM DOCUMENTATION. 
  55.  
  56. LIMITED WARRANTY 
  57.  
  58. EXCEPT AS SPECIFICALLY STATED IN THIS AGREEMENT, THE PROGRAM IS PROVIDED "AS 
  59. IS" WITHOUT WARRANTY OF ANY KIND, EITHER EXPRESSED OR IMPLIED, INCLUDING, BUT 
  60. NOT LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A 
  61. PARTICULAR PURPOSE. 
  62.  
  63. Syntegration warrants that the disk on which the Program is furnished will be 
  64. free from defects in materials and workmanship under normal use for a period of 
  65. 90 days from the date of delivery to you. 
  66.  
  67.  
  68. ΓòÉΓòÉΓòÉ 3. Administrator's Guide ΓòÉΓòÉΓòÉ
  69.  
  70. Welcome to The Secure Workplace for OS/2 Administrators Guide. 
  71.  
  72. You configure and administer the security and desktop management features 
  73. through the pages of Security Administration notebook. If you purchased and 
  74. Enterprise license then remote and network administration is also available. 
  75.  
  76. Follow the procedure below to setup you system: 
  77.  
  78.     1. Configure the security policy 
  79.  
  80.     2. Decide whether and how to use Dynamic Passwords 
  81.  
  82.     3. Configure Desktop Management 
  83.  
  84.     4. Configure User Sign-ON 
  85.  
  86.     5. Decide whether and how to Audit system operations 
  87.  
  88.     6. Define Users 
  89.  
  90.     7. Define User Groups. 
  91.  
  92.     8. Granting User Privileges. 
  93.  
  94.     9. Test your configuration. 
  95.  
  96.    10. Determine how you will administer the system. 
  97.  
  98.    11. Put the Secure Workstation into production. 
  99.  
  100.  
  101. ΓòÉΓòÉΓòÉ 3.1. Security Policy ΓòÉΓòÉΓòÉ
  102.  
  103. Use the Policy page to specify your System Security Policy. If you purchased an 
  104. Enterprise license then all items on this page can also be configured by 
  105. running the setup program with a response file. 
  106.  
  107. The Policy items are as Follows: 
  108.  
  109.  Grant public privileges by default 
  110.     When you check this box The user will be granted full privileges to any 
  111.     Workplace Object, File, or Directory that does not have an access control 
  112.     definition. This has the effect of making items without privileges public. 
  113.     When you leave this box unchecked, items without privileges will 
  114.     automatically be protected. 
  115.  
  116.  Update User info from Network directory 
  117.     When you check this box The Secure Workplace will update Users, Groups, and 
  118.     Privileges from a data file in The network directory. This update occurs 
  119.     just after a user signs on to the workstation. With this feature you do not 
  120.     have to add users and privileges to each workstation manually. Just copy 
  121.     the Security Profile (SECUREWP.INI) to the network directory You can 
  122.     configure this feature with any edition of the product, but it is only 
  123.     implemented in the Enterprise Edition. If you want to use this feature then 
  124.     purchase an Enterprise license. 
  125.  
  126.  Minimum Password Length 
  127.     This spin button allows you to set the minimum password length allowed. 
  128.     This policy is enforced when users attempt to change their password. 
  129.     Existing passwords are not affected. 
  130.  
  131.  Invalid Sign-on attempts 
  132.     This field sets the allowed number of invalid sign-on attempts. When the 
  133.     specified number of illegal sign-on attempts are reached the system will 
  134.     lock until an administrator signs-on. You can disable this feature by 
  135.     setting the value to zero. to 
  136.  
  137.  Expire User Passwords 
  138.     Check this box to force users to change their passwords after a specified 
  139.     number of logins. The number of allowed sign-ons are specified in each 
  140.     user's definition. See the Page 1 in the User Tab. This feature is enforced 
  141.     when you use local authentication. 
  142.  
  143.  Disable Keyboard reboot 
  144.     Check this box to disable the use of the <CTRL+ALT+DEL> key combination. 
  145.  
  146.  Disable Archive Recovery 
  147.     Check this box to prevent users from restoring desktops with <ALT+F1> at 
  148.     system startup. 
  149.  
  150.  Activate screen saver after timeout 
  151.     Check this box to activate the screen saver after the workstation has been 
  152.     inactive for the specified number of minutes. The unlock password 
  153.     automatically changes to the user's sign-on password. This unlock password 
  154.     is encrypted and stored in dynamic memory (RAM). You can be assured that it 
  155.     is safe from prying eyes. All other aspects of the screen saver are 
  156.     configurable from the Lockup Tab in the Desktop settings notebook. 
  157.     Administrators can always unlock the workstation with a dynamic password. 
  158.  
  159.  Screen Saver timeout 
  160.     Sets the number of minutes of inactivity you want to allow before the 
  161.     system locks the keyboard and mouse. 
  162.  
  163.  See Also: 
  164.  
  165.     1. Define Users 
  166.  
  167.     2. Define User Groups. 
  168.  
  169.     3. Define User Privileges. 
  170.  
  171.  
  172. ΓòÉΓòÉΓòÉ 3.2. Using Dynamic Passwords ΓòÉΓòÉΓòÉ
  173.  
  174. Dynamic Passwords are our software implementation of Smart Card Technology. 
  175. These passwords are are based on the system time, system date, and a Seed 
  176. string that you specify. With this implementation you can define a dynamic 
  177. password that is unique to your organization, department, or network domain. 
  178.  
  179. If you purchased an Enterprise license then all items on this page can also be 
  180. configured by running the setup program (SSETUP.EXE) with a response file. 
  181.  
  182. Administrators can set this feature to obtain administrative privileges on a 
  183. workstation. Since the password is valid for a short period of time, it doesn't 
  184. matter if users look on when an Administrative password is being entered at the 
  185. sign-on window. 
  186.  
  187. A companion password generator program (PASSWORD.EXE) runs on a separate 
  188. machine. Perhaps at a help desk or in the administrator's office. You enter the 
  189. date, time, and period. The password generator gives you the dynamic password 
  190. for the date, time, and period you specified. 
  191.  
  192. Each workstation can be configured to use a different Dynamic password seed. By 
  193. default, the initial seed value is "PASSWORD". The seed value can be set in the 
  194. security administration notebook or during setup when you use a response file. 
  195. You should make sure that the machine running the password generator program 
  196. has the same seed string as the machine whose password you wish to discover. 
  197.  
  198.  Administrators use Dynamic Passwords 
  199.     Check this box to force administrators to use dynamic passwords for local 
  200.     authentication. 
  201.  
  202.  Dynamic Passwords change 
  203.     Select one of the buttons to configure the dynamic password period. Dynamic 
  204.     passwords can be configured to change every minute, every hour, or every 
  205.     day. 
  206.  
  207.  Change Dynamic Password Seed 
  208.     Check this box to allow changes to the seed string. 
  209.  
  210.  To change the seed, open the Security Administration notebook and turn to page 
  211.  2 of the Policy Tab. Type the current seed into the entry field, then type the 
  212.  new seed twice into the respective new seed fields. Press the "Change" 
  213.  pushbutton once the fields are filled in. 
  214.  
  215.  Special Note In the Standard and Evaluation editions, Dynamic passwords are 
  216.  based only on the system clock. Enter the password as YYYYMMDDHHmm where YYYY 
  217.  is the year, MM is the month, DD is the day, HH is the hour, and mm is the 
  218.  minute. These system clock values are displayed in the sign-on window for your 
  219.  convenience. 
  220.  
  221.  
  222. ΓòÉΓòÉΓòÉ 3.3. Configuring Multiple Desktop Management ΓòÉΓòÉΓòÉ
  223.  
  224. Use the Desktops Page in the Security Administration notebook to configure you 
  225. system for multiple desktop management. If you purchased an Enterprise license 
  226. then all items on this page can also be configured by running the setup program 
  227. (SSETUP.EXE) with a response file. 
  228.  
  229. The settings on this page allows such flexibility that we cannot possibly 
  230. enumerate all the options you might take. You should take note that the actual 
  231. movement of desktops are controlled by programs that run in the background. We 
  232. supply the Traveling Workplace to do this work. You can also use a third party 
  233. product or write your own program as long as it fits inside the scheme we have 
  234. provided. 
  235.  
  236. Here are your options: 
  237.  
  238.  Manage multiple desktops 
  239.     Check this box to activate multiple desktop management. When you check this 
  240.     box the CONFIG.SYS file is updated. You must shutdown and restart the 
  241.     workstation for the changes to take effect. On the next and subsequent 
  242.     system startups the SWMANAGE.EXE program runs before the Workplace Shell is 
  243.     invoked. SWMANAGE.EXE allows the user to sign-on, it executes the desktop 
  244.     management commands, and starts the workplace shell. 
  245.  
  246.  Save Desktop when User Signs off 
  247.     Instructs The Secure workplace to run the Save desktop command just before 
  248.     signing the user off. Check this box if you want to permit users to change 
  249.     their desktops and to save these changes. If you decide to use the 
  250.     Traveling Workplace switching strategy then this is not necessary. Be sure 
  251.     to enter and test the save command. 
  252.  
  253.  Reset Desktop at Startup 
  254.     Instructs The Secure workplace to run the Reset Desktop command when the 
  255.     System starts and before a user signs-on. If you want to ensure that the 
  256.     system starts with the same default desktop this is a good idea. The reset 
  257.     command might wipe out any desktops left behind by the last user. The reset 
  258.     command should rely on resources local to the workstation because it occurs 
  259.     before user sign-on. You can use Traveling Workplace to backup a desktop 
  260.     into an archive directory on a local harddrive, Then enter a Reset command 
  261.     to restore this local desktop. The restored desktop should be small enough 
  262.     to be restored quickly. It might have enough resources to allow an 
  263.     administrator to perform maintenance or it might have resources to allow a 
  264.     user to work at the workstation when the network is down. Your might also 
  265.     want to consider this desktop for notebook computers that are 
  266.     intermittently disconnected from from your network. 
  267.  
  268.  Desktop Build Before WPS Command 
  269.     Enter a command to be executed before the Workplace shell is started. If 
  270.     you leave this field blank then the active desktop is used. Press the 
  271.     defaults button to get the Traveling Workplace /RESTORE command. You can 
  272.     also use the Traveling workplace /SWITCH or /NEW strategy options here 
  273.  
  274.  Desktop Build After WPS Command 
  275.     Enter a command to be executed after the Workplace Shell is started. If you 
  276.     leave this field blank then nothing happens. Press the defaults button to 
  277.     get the default Object Editor command. 
  278.  
  279.  Desktop Save Command 
  280.     Enter a command to be executed just before the user signs off. Press the 
  281.     defaults button to get the default Traveling Workplace /BACKUP command. 
  282.     This command will not be invoked unless you check the Save Desktop when 
  283.     user sign-off option. 
  284.  
  285.  Desktop Reset Command 
  286.     Enter a command to be executed when the system starts. Press the defaults 
  287.     button to get the Traveling Workplace /RESTORE command. This command will 
  288.     not be invoked unless you check the Reset Desktop at System Startup option. 
  289.  
  290.  See Specifying commands for more details. 
  291.  
  292.  Desktop Management Strategies 
  293.  
  294.  As we said before, you options are innumerable. The following is a list of 
  295.  scenarios that employ tools we supply or support. 
  296.  
  297.   1. Users see different views of the same desktop 
  298.  
  299.      This is perhaps the simpliest and fastest strategy because the desktop 
  300.      remains the same. By assigning user privileges to desktop objects you can 
  301.      let users see only the objects they have permission to use. See simple 
  302.      instructions for granting user privileges for details. If you want to 
  303.      update the desktop periodically or to protect against changes then: 
  304.  
  305.      a. Check Multiple Desktop Management. 
  306.      b. Uncheck Reset Desktop at Startup. 
  307.      c. Uncheck Save Desktop when user signs off. 
  308.      d. Remove or blank the Desktop Build After WPS command. 
  309.      e. Enter a Desktop Build Before WPS Command to restore the desktop from a 
  310.         local or network archive. If you choose to restore from a network 
  311.         archive then you can periodically update the desktop without going to 
  312.         the workstation. 
  313.  
  314.   2. Switching between on-line Desktops 
  315.  
  316.      Use the Traveling Workplace switching strategy to switch between on-line 
  317.      desktops that reside on the local workstation. This strategy is invoked by 
  318.      the the Traveling Workplace /SWITCH option. Switching is usually much 
  319.      faster than restoring. However it will not allow a user to move from one 
  320.      workstation to another and get the same desktop every time. We recommend 
  321.      this option if you have a limited number of desktops, users do not move 
  322.      between workstations, and speed is essential. You must setup pre-existing 
  323.      desktops before invoking this strategy. See the Traveling Workplace 
  324.      reference manual for details. Here are some basic instructions. 
  325.  
  326.      a. Refer to the Traveling Workplace Reference for details. Pay special 
  327.         attention to the sections on multi-user setup. 
  328.      b. Start The Traveling Workplace. 
  329.      c. Select an Archive Directory. 
  330.      d. Set Traveling Workplace preferences. 
  331.  
  332.         1. Disable the cleanup after Restore option (ie.Create a new Desktop). 
  333.         2. Disable the re-use default names option. 
  334.         3. Disable the Update CONFIG.SYS Option 
  335.         4. Set the number of on-line workplaces to the number of desktops you 
  336.            will support. 
  337.  
  338.      e. Backup the desktop into the archive directory. 
  339.      f. Restore the Desktop from archive to build a new desktop (ie.Desktop0). 
  340.      g. Restore the Desktop from archive as many times as you want new 
  341.         desktops. 
  342.      h. Switch between desktops and remove or add icons to fit the users needs 
  343.      i. Test the Traveling Workplace /SWITCH command from a command prompt to 
  344.         develop set of parameters to fit your needs. 
  345.      j. Check the Manage Multiple Desktops option. 
  346.      k. Uncheck the Save Desktop at user sign off option 
  347.      l. Uncheck the Reset Desktop at System Startup option. 
  348.      m. Enter the Switch command you developed into the Build Before WPS 
  349.         command field. 
  350.      n. Define User class names to represent each desktop you will support. 
  351.         User Class names are defined on Page 3 of the User Definition Tab. Use 
  352.         Class names like "Desktop0", "Desktop1", "Desktop2", etc. These names 
  353.         are the names available with the Traveling Workplace /DESKTOP 
  354.         parameter. 
  355.      o. Define User class names to represent each desktop you will support. 
  356.  
  357.   3. Restore Desktop from archive 
  358.  
  359.      Use the Traveling Workplace restore strategy to update the desktop for 
  360.      each user or user group that signs-on to the workstation. This is your 
  361.      most flexible strategy. It is designed to be used with the Traveling 
  362.      Workplace /RESTORE option. You can restore a desktop from an archive 
  363.      directory that resides on the local workstation or on a network file 
  364.      server. With this option you can let a user move between workstations and 
  365.      get the same desktop every time. If the archive directory is on a file 
  366.      server then you can dynamically update the restored desktop withour having 
  367.      to take a trip to the workstation. You can allow a user to save changes by 
  368.      adding a Save Icon to the restored desktop. This Save Icon could invoke 
  369.      Traveling Workplace with the /BACKUP option. We recommend this strategy 
  370.      when you have a large number of users, Users share workstations, users 
  371.      move between workstations, Workstations are networked, you want maximum 
  372.      assurance that desktops remain the same, you want to dynamically update 
  373.      the desktop. We believe the restore strategy will be faster than the build 
  374.      strategy but slower than the switch strategy. See the Traveling Workplace 
  375.      reference manual for further details. Here are some basic instructions. 
  376.  
  377.      a. Refer to the Traveling Workplace Reference for details. Pay special 
  378.         attention to the sections on multi-user setup. 
  379.      b. Start The Traveling Workplace. 
  380.      c. Set Traveling Workplace preferences. 
  381.  
  382.         1. Disable the cleanup after Restore option (ie.Create a new Desktop). 
  383.         2. Disable the re-use default names option. 
  384.         3. Disable the Update CONFIG.SYS Option 
  385.         4. Set the number of on-line workplaces to the number of desktops you 
  386.            will support. 
  387.  
  388.      d. Select an Archive Directory for the user or user group. 
  389.      e. Backup the desktop into the archive directory. 
  390.      f. Restore the Desktop from archive to build a new desktop. 
  391.      g. Configure the desktop for the user or group. You achieve this by adding 
  392.         or removing icons to fit the user's needs. 
  393.      h. Backup the new desktop into the archive directory. 
  394.      i. Repeat these steps for each user or user group. 
  395.      j. Test the Traveling Workplace /RESTORE command from a command prompt to 
  396.         develop set of parameters to fit your needs. You will want to use the 
  397.         /NOUPDATE parameter to prevent the CONFIG.SYS from being changed. 
  398.      k. Check the Manage Multiple Desktops option. 
  399.      l. Uncheck the Save Desktop at user sign off option 
  400.      m. Uncheck the Reset Desktop at System Startup option. 
  401.      n. Enter the Restore command you developed into the Build Before WPS 
  402.         command field. Use the %ARCHIVE substitution keyword with the /loc 
  403.         parameter (ie./loc=%ARCHIVE). 
  404.      o. Define an archive directory for each user or user class. Archive 
  405.         directories are defined on Page 3 of the User Definition Tab. The 
  406.         user's archive directory is used when you specify %ARCHIVE on the build 
  407.         command. The Traveling Workplace /LOC parameter is designed to accept 
  408.         an archive directory. 
  409.  
  410.         Special Note The Traveling Workplace cannot change the desktop 
  411.         directory name with the /RESTORE option when it restores before the 
  412.         Workplace Shell starts. Instead the product uses the same desktop 
  413.         directory name that was assigned when the desktop was saved. This may 
  414.         have the side effect of replacing an existing desktop including the 
  415.         default or boot-up desktop. This effect is not necessarily a bad thing, 
  416.         but you should be aware that it can happen. Suppose a user signs on and 
  417.         his restore procedure fails because his archive directory was not 
  418.         available or empty. If the last user replaced the default desktop then 
  419.         the new user will get the last user's desktop. You can avoid this 
  420.         effect by ensuring the archived desktops use a name other than the 
  421.         default desktop name. Here is a procedure that will help you to avoid 
  422.         this problem. 
  423.  
  424.         1. Start the Workplace Shell 
  425.         2. Start the Traveling Workplace and switch to the default desktop. 
  426.            (\DESKTOP) 
  427.         3. Turn off the Traveling Workplace Clean up after preference. 
  428.         4. Remove all other on-line desktops from you system. 
  429.         5. Backup and restore this desktop to create new desktop (\DESKTOP0) 
  430.         6. Backup this desktop to the user archives. 
  431.         7. Turn on Multiple desktop management and reboot you system to make it 
  432.            active. 
  433.         8. Now every time a user signs on and restores with the Build Before 
  434.            WPS command the restore procedure replaces the \DESKTOP0 directory, 
  435.            OS20.INI file, and the OS2SYS0.INI. 
  436.  
  437.         1. Use the workplace shell drive folder to change the default desktop 
  438.            directory name to something like DEFDESK. Copy the user and system 
  439.            profiles to a uniques name like DEF.INI and DEFSYS.INI. Update the 
  440.            CONFIG.SYS to use these unique names. 
  441.         2. Backup and restore the default or boot-up desktop to create a 
  442.            desktop name like DESKTOPA. this desktop name should never clash 
  443.            with a restored desktop name. 
  444.         3. If you need help call technical support. 
  445.  
  446.   4. Build a new desktop 
  447.  
  448.      Use this strategy when you want to dynamically create objects on a blank 
  449.      desktop. To do this you must specify a build before and a build after 
  450.      command. The Build before command is executed before the workplace shell 
  451.      starts and the build after executes after the workplace shall starts. Use 
  452.      the build before command to create a blank desktop. Use the build after 
  453.      command to create the objects in the desktop. The Traveling Workplace /NEW 
  454.      parameter can create a blank desktop for you. The Object Editor can 
  455.      populate this blank desktop with objects. 
  456.  
  457.   5. User sees only Network Applications 
  458.  
  459.      In this scenario you use IBM LANSERVER or IBM WARPSERVER and have already 
  460.      assigned network applications. You decide to use the User Profile Manager 
  461.      Domain for Single Signon. The user is not defined locally or you deny 
  462.      access to the desktop. In this scenario all local desktop objects are 
  463.      invisible. The Network applications folder and its contents are visible. 
  464.      Here are some basic instructions. 
  465.  
  466.      a. Turn off multiple desktop management. 
  467.      b. Configure single sign-on for User Profile Manager Domain. 
  468.      c. Remove all user privileges or set them such that the default desktop 
  469.         objects are invisible. 
  470.      d. The Secure Workplace will leave The Network Applications folder and its 
  471.         contents alone and let your network operating system manage them. 
  472.  
  473.  
  474. ΓòÉΓòÉΓòÉ 3.4. Configuring User Sign-ON ΓòÉΓòÉΓòÉ
  475.  
  476. Configure user Sign-ON operations in the Signon page of the Security 
  477. Administration notebook. If you purchased an Enterprise license then all items 
  478. on this page can also be configured by running the setup program (SSETUP.EXE) 
  479. with a response file. 
  480.  
  481. At start-up The Secure Workplace for OS/2 displays a sign-on window that 
  482. prompts the user for and Identification name and a password. The product also 
  483. provides Single Sign-On to any network operating system or remote host. With 
  484. this feature you can configure the system such that users need only identify 
  485. and authenticate once. 
  486.  
  487. If you use Single Sign-ON and you have a network requester installed, then you 
  488. should consider updating the AUTOSTART parameter in your CONFIG.SYS File. The 
  489. AUTOSTART CONNECTIONS options will sometimes cause a network logon window to 
  490. appear at system startup. By removing the CONNECTIONS option you can prevent 
  491. this from occurring. 
  492.  
  493. The Logon operation allows a user to enter a UserID and password. After these 
  494. authentication values are entered the logon procedure will be executed. If the 
  495. logon procedure completes with a return code of zero, then the build procedure 
  496. is executed. In this way you can configure a logon environment using existing 
  497. programs such as your network operating system's login program. to customize 
  498. the environment you can create your own scripts. 
  499.  
  500.  Auto Guest 
  501.     When you choose this option the system will automatically authenticate the 
  502.     Guest User and bypass the sign-on window. The Guest user is defined in the 
  503.     CONFIG.SYS by assigning the GUESTNAME environment variable. The Guest User 
  504.     has no privileges unless you assign them. 
  505.  
  506.  Local Authentication 
  507.     When you choose this option the system allows users to decide whether to 
  508.     signon to the local workstation. A corresponding local signon checkbox will 
  509.     be available in the login window. You should allow local authentication if 
  510.     you use the workstation in a stand-alone mode. 
  511.  
  512.  Single Sign-ON Options 
  513.     Select one of the Single Sign-ON options described below. When you choose 
  514.     an option other than none, The system allows the selected login procedure 
  515.     to authenticate the user. The advantage of single signon in a network 
  516.     environment is that you need only manage passwords in one place - on the 
  517.     server. 
  518.  
  519.  None 
  520.     The None option implies that the Security System will not execute any 
  521.     external user authentication procedure. If this option is selected then 
  522.     local authentication is perform unless AutoGuest is selected. 
  523.  
  524.  User Profile Manager Domain 
  525.     The User Profile Manager (UPM) Domain option is appropriate when you have a 
  526.     IBM LANServer or IBM WARPServer network. To use this option you must first 
  527.     install the IBM Network Requester. 
  528.  
  529.  User Profile Manager Node 
  530.     The User Profile Manager Domain option is appropriate whe you have a IBM 
  531.     DB2 Server on a network. To use this option you must first install the 
  532.     necessary IBM products. 
  533.  
  534.  User Profile Manager Local 
  535.     The User Profile Manager (UPM) Local option is appropriate when you have 
  536.     IBM WARP CONNECT, DB2, LANSERVER, WARPSERVER, TCP/IP, COMMUNICATIONS 
  537.     MANAGER/2, or any other IBM product that installs UPM on your local 
  538.     workstation. 
  539.  
  540.  Network SignON Coordinator 
  541.     Choose this option to sign-on using IBM Network SignON Coordinator (NSC). 
  542.     NSC can be used for logins to Novell Netware, IBM LANServer, IBM WARP 
  543.     Server, and APPC Host. You must first configure the NSC.INI file and test 
  544.     it before commiting to this option. 
  545.  
  546.  Custom Program 
  547.     Choose this option to execute a background authentication program. You pass 
  548.     the USERID and PASSWORD entered by the user to this authentication program. 
  549.     The program should return an exit code of zero to signal that the user is 
  550.     correctly authenticated. If need to use third party authentication programs 
  551.     or custom in-house programs for sign-on and authentication then this is 
  552.     your option of choice. UPM and NSC can also be used here. 
  553.  
  554.  Custom Sign-ON command 
  555.     This command is executed when you have selected the Custom Single Sign-On 
  556.     option and after the user and password are entered. Successful completion 
  557.     is indicated by a return code of zero. You should specify the %USER and the 
  558.     %PASSWORD. keywords to pass the user name and password to the custom 
  559.     program. 
  560.  
  561.  Custom Sign-OFF command 
  562.     This command is executed to perform a user logoff. Enter your logoff 
  563.     program in the field. 
  564.  
  565.  Change Password 
  566.     This command is used to change user passwords when you choose a custom 
  567.     program for Single Sign-on 
  568.  
  569.  UPM Remote or domain name 
  570.     Enter a field that specifies the UPM remote or Domain. This field is 
  571.     required for UPM node logon and can be used during UPM Domain logon. The 
  572.     user will also have an opportunity to change this value at sign-on time. 
  573.  
  574.  The Secure Workplace for OS/2 invokes User Profile Manager directly when you 
  575.  choose one of the UPM options. To enable this feature you must first install 
  576.  an IBM product that contains UPM. Make sure the the UPM32.DLL file is 
  577.  available and in the LIBPATH. 
  578.  
  579.  The Secure Workplace for OS/2 invokes Network Signon coordinator directly when 
  580.  you choose the NSC option. To enable this feature you must first install and 
  581.  configure NSC. Make sure that the NSCAPI.DLL file is available and in the 
  582.  LIBPATH. 
  583.  
  584.  See Also: 
  585.  
  586.  Specifying commands 
  587.  
  588.  
  589. ΓòÉΓòÉΓòÉ 3.5. Auditing your system ΓòÉΓòÉΓòÉ
  590.  
  591. The Audit page in the Security Administration notebook allows you to configure 
  592. your secure workplace for audit operations. The audit information records the 
  593. operations that take place you computer. The Audit or log file can be located 
  594. on a workstation or on a network file server. The following parameters allow 
  595. you to configure your workstation for auditing. 
  596.  
  597. If you purchased an Enterprise license then All items on this page can also be 
  598. configured by running the setup program with a response file. 
  599.  
  600.  Enable Auditing 
  601.     Specifies whether the workstation will audit events to the log file. 
  602.  
  603.  Log to local file 
  604.     Tells the system to write all events to the local log file. This option is 
  605.     ignored if auditing is disabled. 
  606.  
  607.  Log to remote file 
  608.     Tells the system to write all events to the remote log file. This option is 
  609.     ignored unless auditing is enabled, User logon is enabled, and user logon 
  610.     is verified. 
  611.  
  612.  Switch to remote on logon 
  613.     Tells the system to write events to the remote log file when a user logon 
  614.     is verified. 
  615.  
  616.  Local Log File 
  617.     Specifies the path and filename of the log file on the workstation. 
  618.  
  619.  Remote Log File 
  620.     Specifies the path and filename of the file server log file. 
  621.  
  622.  Station Name 
  623.     Specifies a unique name for your workstation. This name will be used by the 
  624.     audit facility to identify your workstation in the log file. You should 
  625.     configure the station name in a network environment with more than one 
  626.     workstation. 
  627.  
  628.  The log file can be viewed with any text editor or browser. You are 
  629.  responsible for managing the log file. We intend to supply a log file viewer 
  630.  in a future version. 
  631.  
  632.  Audit operations occur in the background. You will not be alerted if the log 
  633.  file names you specify are incorrect. Check the filename carefully, then 
  634.  verify that the audit information is being written. 
  635.  
  636.  The Audit system is fault tolerant. If the  audit files are invalid the system 
  637.  will bypass the audit step without a perceptable delay. The audit facilty will 
  638.  detect errors like 
  639.  
  640.  o File not found 
  641.  o Path not found 
  642.  o Invalid File name 
  643.  o Disk full 
  644.  o File Write protected 
  645.  
  646.  In a network environment where the remote log file is shared between multiple 
  647.  workstations the audit facility waits for write access. The audit system will 
  648.  wait 5 seconds and retry the write operation at 64 millisecond intervals. 
  649.  After 5 seconds the system will abandon the write operation. 
  650.  
  651.  
  652. ΓòÉΓòÉΓòÉ 3.6. Defining Users ΓòÉΓòÉΓòÉ
  653.  
  654. Users are defined in the Security Administration notebook. Three pages are 
  655. available in the User Tab. If you purchased an Enterprise license then The user 
  656. definitions can be automatically updated from the SECUREWP.INI file residing in 
  657. the Network directory. 
  658.  
  659. The User definition items are as follows. 
  660.  
  661.  User 
  662.     Type a unique user name in this field. If you intend to use Single Sign-ON 
  663.     then the user name should correspond to a pre-existing name that you have 
  664.     defined elsewhere.  You can also select users that have already been 
  665.     defined by pressing the drop down list button to the right of the entry 
  666.     field. 
  667.  
  668.  Description 
  669.     Enter the users full name or some other description here. You can use up to 
  670.     40 characters for this purpose. 
  671.  
  672.  User Type 
  673.     Select Normal or Administrator. Normal users have there privileges set by 
  674.     administrators. Administrators have full privileges. 
  675.  
  676.  User Active 
  677.     Allows you to temporarily deactivate the user without removing the 
  678.     definition. 
  679.  
  680.  Use Dynamic Password 
  681.     Forces a user to enter a dynamic password. This feature applies to local 
  682.     administrators only. 
  683.  
  684.  Sign-ons before password expires 
  685.     Select the number of times a user can sign-on before a password change is 
  686.     required. This value is enforced when local authentocation is used. 
  687.  
  688.  Sign-ons since password changed 
  689.     This report item keeps a count of the number of times a user has signed on 
  690.     since the last password change. You can reset this value to invalidate a 
  691.     password. Changing the password resets this value. 
  692.  
  693.  User Class Name 
  694.     Class names are defined on page three of the user tab. Enter a class name 
  695.     for the user. This string is used as the %CLASS substitution parameter for 
  696.     multiple desktop management. A class name is intended as an alternate 
  697.     method for grouping users. Examples class names are STUDENT, INSTRUCT, 
  698.     MANAGER, TELLER, SALES, CLERK, or ACCOUNTS. Class names are managed 
  699.     separately from User Groups, but there is nothing to prevent you from 
  700.     creating user groups that exactly match the class names you define. class 
  701.     names can be used to represent filenames, subdirectories, a filename 
  702.     prefix, a filename suffix, or any other purpose. 
  703.  
  704.  Archive Directory 
  705.     The user's archive directory is defined on page three of the User tab. 
  706.     Enter an archive directory for the user. This string is used as the 
  707.     %ARCHIVE substitution parameter for multiple desktop management. You can 
  708.     assign the same directory to more than one user. 
  709.  
  710.  Adding a User 
  711.  
  712.   1. Type a user name in the user field. 
  713.   2. Type a user description in the description field. 
  714.   3. Select a user type. 
  715.   4. Make any other selections on page one. 
  716.   5. Press the Add button. 
  717.  
  718.  Changing a user definition 
  719.  
  720.   1. Turn to the page containing the information you want to change. 
  721.   2. Select a user from the drop down list. 
  722.   3. Make the changes you require. 
  723.   4. Press the Save button. 
  724.  
  725.  Deleting a user 
  726.  
  727.   1. Turn to page 1 of the User tab. 
  728.   2. Select a user from the drop down list. 
  729.   3. Press the Delete button. 
  730.  
  731.  Changing a user password 
  732.  
  733.   1. Turn to page 2 in the User tab. 
  734.   2. Select a user from the drop down list. 
  735.   3. Enter the current password. 
  736.   4. Enter the new password twice. 
  737.   5. Press the change button button. 
  738.  
  739.  User password changes can also be performed at the sign-on window. 
  740.  
  741.  Press the Clear button to cancel any operation you started. 
  742.  
  743.  See Also: 
  744.  
  745.  o User Groups. 
  746.  o User Privileges. 
  747.  
  748.  
  749. ΓòÉΓòÉΓòÉ 3.7. Defining Groups ΓòÉΓòÉΓòÉ
  750.  
  751. Users Groups are defined on the Group page in the Security Administration 
  752. notebook. If you purchased an Enterprise license then The Group definitions can 
  753. be automatically updated from the SECUREWP.INI file residing in the Network 
  754. directory. 
  755.  
  756. User Groups are used to reduce the labor of assigning User privileges. The 
  757. Items are described in the following paragraphs. 
  758.  
  759.  Groups 
  760.     You can enter new group name in the entry field or select from any of the 
  761.     existing groups in the drop down list. 
  762.  
  763.  Group Description 
  764.     Enter any description you desire. The description can be up to 40 
  765.     characters in length. 
  766.  
  767.  Include Everyone 
  768.     Check this box to automatically include every defined user in the group. 
  769.     New users will will automatically be included as well. Use this option to 
  770.     create EVERYONE groups. 
  771.  
  772.  Users in Group 
  773.     The list of users currently in the group. This list is ignored when the 
  774.     Include Every box is checked. 
  775.  
  776.  Adding a Group 
  777.  
  778.   1. Type a Group name in the Group field. 
  779.   2. Enter a description in the description field. 
  780.   3. Check or uncheck the Include Everyone box. 
  781.   4. Select from the Users list then press the Include button. 
  782.   5. Select from the Users In Group List then press the Remove Button. 
  783.   6. Press the Add button. 
  784.  
  785.  Changing a Group 
  786.  
  787.   1. Select a Group from the list. 
  788.   2. Check or uncheck the Include Everyone box. 
  789.   3. Select from the Users List then press the Include Button. 
  790.   4. Select from the Users In Group List then press the Remove Button. 
  791.   5. Press the Save button. 
  792.  
  793.  Deleting a Group 
  794.  
  795.   1. Turn to Group tab. 
  796.   2. Select a Group from the drop down list. 
  797.   3. Press the Delete button. 
  798.  
  799.  Press the Clear button to cancel any operation. 
  800.  
  801.  See Also: 
  802.  
  803.  o Defining Users. 
  804.  o Assigning User Privileges. 
  805.  
  806.  
  807. ΓòÉΓòÉΓòÉ 3.8. Specifying Commands ΓòÉΓòÉΓòÉ
  808.  
  809. The Desktop Management and User Signon configuration ask you to enter commands 
  810. that will be executed at appropriate times. The commands specify programs and 
  811. program parameters that execute in the background without user interaction. For 
  812. instance Syntegration Inc. Supplies programs such as Traveling Workplace 
  813. (TWKPLACE.EXE), Object Editor (OBJEDIT.EXE) and System Setup (SSETUP.EXE) that 
  814. can operate in a non-interactive mode. You can also write your own REXX program 
  815. or batch file to perform the required tasks. 
  816.  
  817. Commands consist of a program file name followed by program parameters. The 
  818. program file name consists of the filename and extension. Examples of valid 
  819. program file names are CMD.EXE, TWKPLACE.EXE, OBJEDIT.EXE, and SSETUP.EXE. File 
  820. names without extensions are invalid. Examples of invalid program file names 
  821. are CMD, TWKPLACE, OBJEDIT SSETUP. If the program file does not reside in a 
  822. directory in the PATH, the program name should be fully qualified. An example 
  823. of a fully qualified program file is C:\SWP\BIN\TWKPLACE.EXE 
  824.  
  825. Program parameters are used by the program to tell it what to do. Parameters 
  826. are separate from the program file name by a space. You should also separate 
  827. multiple parameters by spaces to insure that the program recognizes them 
  828. correctly. You can specify substitution keywords in commands. These keywords 
  829. will be translated by The Secure Workplace before executing the command. For 
  830. example, %USER will be translated to the UserID entered when a user signs-on. 
  831.  
  832. The substitution keywords are: 
  833.  
  834.  Keyword        Description 
  835.  %USER          The user ID as entered at login. 
  836.  %PASSWORD      The password as entered at login. 
  837.  %LOGFILE       The current log file name. 
  838.  %STATION       The station name assigned to the computer. 
  839.  %ARCHIVE       The User's Archive directory. 
  840.  %CLASS         The User's Class name. 
  841.  %NEWPWD        The User's new password. 
  842.  %REMOTE        The UPM remote or domain name. 
  843.  
  844.  You should note that user specific keywords are not available before a user 
  845.  signs on. 
  846.  
  847.  If you use a REXX command or batch file to perform a procedure it must be 
  848.  invoked by the CMD.EXE program with the /C parameter. An example REXX command 
  849.  follows. 
  850.  
  851.  CMD.EXE /C RESTORE.CMD %ARCHIVE 
  852.  
  853.  In this example the, RESTORE.CMD file is executed with the user's archive 
  854.  directory as its sole parameter. 
  855.  
  856.  
  857. ΓòÉΓòÉΓòÉ 3.9. Remote and network administration ΓòÉΓòÉΓòÉ
  858.  
  859. If you purchased an Enterprise license the The Secure Workplace for OS/2 will 
  860. contain additional features that you can use for network and remote 
  861. administration. These are response file management and Network updates 
  862.  
  863. Response file management 
  864.  
  865. In the Enterprise edition, the System Setup (SSETUP.EXE) program can accept a 
  866. response file parameter on the command line that can to use to completely 
  867. change the administrative settings. You can use the program for unattended 
  868. software distribution and administration. The product includes an example 
  869. response file (SSETUP.RSP) that you can modify to fit your needs. The System 
  870. Setup Program requires the Presentation Manager. You must install OS/2 before 
  871. using it. Here are a few of the ways you can use these features: 
  872.  
  873.   1. With IBM NetView Distribution Manager/2. 
  874.  
  875.   2. With the Redirected Installation and Configuration (CID) component of IBM 
  876.      LANServer or IBM WARPServer. 
  877.  
  878.   3. With other Network Management or Software Distribution products. 
  879.  
  880.   4. As part of network logon script you develop to update the security 
  881.      settings. 
  882.  
  883.   5. As part of a custom REXX program you develop to administer disconnected 
  884.      workstations or notebooks at remote locations. 
  885.  
  886.  Network Updates 
  887.  
  888.  In the Enterprise edition you can implement automatic updates from the network 
  889.  directory specified during installation or setup. The network directory is 
  890.  specified in the SWPNETPATH environment variable. The product updates User 
  891.  definitions, User Group definitions, and User Privilege assignments from the 
  892.  SECUREWP.INI file whenever a user signs-on. With this capability minimizes 
  893.  administrative labor by assigning a central location for distributing new user 
  894.  privileges. Here are some basic instructions: 
  895.  
  896.   1. Create a network directory and alias that will be visible to all users. 
  897.      Lets say that you assigned drive S: and directory S:\SWPADMIN 
  898.  
  899.   2. Grant read only access to the users. 
  900.  
  901.   3. When you install The Secure Workplace for OS/2 at the workstation, specify 
  902.      S:\SWADMIN as the network directory. 
  903.  
  904.   4. However you administer the workstation set the Security policy to Update 
  905.      User Information from Network directory. 
  906.  
  907.   5. Define users and privileges on your test or Administrative Workstation. 
  908.  
  909.   6. Copy the Security Profile SECUREWP.INI to the network directory. 
  910.  
  911.      Your local SECUREWP.INI file is hidden, read-only, and the contents are 
  912.      encrypted. This file is usually located in the install directory. The 
  913.      XCOPY command with the /H parameter can handle the movement of this file 
  914.      to the network directory. Once its in the network directory you can remove 
  915.      the hidden attribute with the ATTRIB command. 
  916.  
  917.   7. Whenever you add a new user update the network directory. 
  918.  
  919.   8. In a future version we promise to simplify this process by adding import, 
  920.      export, and response file capabilities to the Security Administration 
  921.      program. 
  922.  
  923.  
  924. ΓòÉΓòÉΓòÉ 4. Assigning User and Group Privileges ΓòÉΓòÉΓòÉ
  925.  
  926. After you have installed The Secure Workplace and rebooted your computer 
  927. Privilege pages are added to every Workplace Object's settings notebook. These 
  928. pages are grouped under a Privileges tab. You can use this interface to assign 
  929. user or group privileges for Files, Directories, and Workplace Shell objects. 
  930.  
  931. For the purpose of this discussion and your own general understanding we will 
  932. refer to Files, Subdirectories, and Workplace Shell objects with the term 
  933. object. 
  934.  
  935. Administrators grant users or groups privileges to objects. A user or group can 
  936. be granted the privilege to see, open, execute, copy, move, delete, rename, 
  937. shadow, drag, drop, read, write or change attributes of an object. These and 
  938. other privileges are based on Workplace Object pop-up menu items, Workplace 
  939. Object styles, and File Access operations. 
  940.  
  941. When an object has no user privileges, The Secure Workplace searches up the 
  942. parent chain of the directory tree to find the first parent with an assigned 
  943. privilege. In the case of desktop objects the search stops when the desktop is 
  944. reached. In the case of objects outside the desktop the search stops when the 
  945. root directory is reached. In other words, objects with no assigned user 
  946. privileges inherit the privileges of a parent folder or directory. If no 
  947. assigned privilege is found then the user is granted default privileges. 
  948. Default privileges may be FULL or NONE depending on the option you choose on 
  949. the Security Policy page. Administrative labor is minimized by assigning 
  950. privileges to folders and directories at the highest levels of the directory 
  951. tree. 
  952.  
  953. See Also. 
  954.  
  955.    o Basic Privileges 
  956.    o Folder menu privileges 
  957.    o Desktop menu privileges 
  958.    o Disk menu privileges 
  959.    o Adding User Privileges 
  960.    o Changing User Privileges 
  961.    o Deleting User Privileges 
  962.    o Simple Instructions for Granting User Privileges 
  963.  
  964.  To get to an object's Privilege page 
  965.  
  966.   1. Move your mouse pointer over the object. 
  967.   2. Press the right mouse button to bring up the pop-up menu. 
  968.   3. Select the Settings option. 
  969.   4. Turn to the Privileges tab. 
  970.  
  971.  
  972. ΓòÉΓòÉΓòÉ 4.1. Basic privileges ΓòÉΓòÉΓòÉ
  973.  
  974. Administrators can grant basic privileges for every object. These are: 
  975.  
  976.  Copy 
  977.     Check this box to allow the user to copy the object from one folder to 
  978.     another. When you uncheck this box the Copy... item is removed from the 
  979.     object's pop-up menu. and NO COPY is enforced. 
  980.  
  981.  Move 
  982.     Check this box to allow the user to move the object between folders. When 
  983.     you uncheck this box the Move... item is removed from the object's pop-up 
  984.     menu and NO MOVE is enforced. If Drag is allowed the user can still 
  985.     relocate the object inside its original folder. 
  986.  
  987.  Delete 
  988.     Check this box to allow the user to delete the object. Uncheck this box to 
  989.     remove the Delete... item from the object's pop-up menu. With this 
  990.     permission removed the user cannot delete the object with a delete key or 
  991.     by dropping it on the shredder. The file access control driver gives 
  992.     additional protection from command prompts and file manager programs. 
  993.  
  994.  Shadow 
  995.     Check this box to allow the user to creates shadows of the object. When you 
  996.     uncheck this box the Create Shadow... item is removed from the object's 
  997.     pop-up menu. and the NO SHADOW style is enforced. 
  998.  
  999.  Rename 
  1000.     Check this box to allow users to change the object's title. Uncheck the box 
  1001.     to remove the permission. When the permission is removed the user cannot 
  1002.     change object's title or filename. Attempts to change the title through the 
  1003.     general page in the settings notebook or by direct manipulation will fail. 
  1004.     The file access control driver also enforces this privilege to give 
  1005.     additional protection from command prompts and other programs. 
  1006.  
  1007.  Drag 
  1008.     Check this box to allow the user to drag the object. Remove the checkmark 
  1009.     to prevent the object from being dragged with the right mouse button. The 
  1010.     Pickup menu choice will also be removed. 
  1011.  
  1012.  Drop 
  1013.     Check this box to allow the user to drop other objects onto the object. 
  1014.     When you remove this privilege, nothing can be dropped on or into the 
  1015.     object. This can be particularly helpful for folders. 
  1016.  
  1017.  Settings 
  1018.     Check this box to allow the user to open the object's settings notebook. 
  1019.     Deny this privilege to prevent the user from changing the object's 
  1020.     settings. 
  1021.  
  1022.  Visible 
  1023.     Check this box to allow the user to see the object. Deny this privilege to 
  1024.     prevent the user from seeing the object. This is the most basic privilege. 
  1025.     If the user cannot see the object he cannot perform any operations on it. 
  1026.  
  1027.  Open or Execute 
  1028.     Check this box to let the user open the object. Deny this privilege to 
  1029.     prevent the user opening the object. This is the second basic privilege. 
  1030.     This permission is also enforced by the file access control driver. 
  1031.  
  1032.  Read 
  1033.     Check this box to let the user open the file for read  access. Deny this 
  1034.     privilege to prevent the user from reading the file. This permission is 
  1035.     enforced by the file access control driver. 
  1036.  
  1037.  Write 
  1038.     Check this box to let the user open the file for write access. Deny this 
  1039.     privilege to prevent the user from writing to the file. This permission is 
  1040.     enforced by the file access control driver. 
  1041.  
  1042.  Attribute 
  1043.     Check this box to let the user change the file attributes. Deny this 
  1044.     privilege to prevent the user from changing file attributes. This 
  1045.     permission is enforced by the file access control driver. 
  1046.  
  1047.  Create 
  1048.     UnCheck this box to deny user access to the Create Another... item in the 
  1049.     object's pop-up menu. With this permission removed the user cannot use the 
  1050.     popup menu to create another object. 
  1051.  
  1052.  Help 
  1053.     Check this box to grant user access to the Help item on the object's pop-up 
  1054.     menu. Denying this privilege does not prevent the user from gaining access 
  1055.     to the help system through some other avenue. 
  1056.  
  1057.  See Also. 
  1058.  
  1059.    o Folder menu privileges 
  1060.    o Desktop menu privileges 
  1061.    o Disk menu privileges 
  1062.    o Adding User Privileges 
  1063.    o Changing User Privileges 
  1064.    o Deleting User Privileges 
  1065.    o Simple Instructions for Granting User Privileges 
  1066.  
  1067.  
  1068. ΓòÉΓòÉΓòÉ 4.2. Folder menu privileges ΓòÉΓòÉΓòÉ
  1069.  
  1070. The folder menu privilege page lets you assign user privileges for the folder 
  1071. pop-up menu items. Each checkbox controls a different pop-up menu item. These 
  1072. items behave as follows: 
  1073.  
  1074.  Select 
  1075.     Check this box to grant user access to the Select item in the folder's 
  1076.     pop-up menu. Deny this privilege to prevent the user from selecting or 
  1077.     deselecting all objects in the folder. It does not prevent object selection 
  1078.     with the mouse. 
  1079.  
  1080.  Sort 
  1081.     Check this box to grant user access to the Sort item in the folder's pop-up 
  1082.     menu. Deny this privilege to prevent the user from manually sorting the 
  1083.     objects in the folder. This privilege does not override the "Always 
  1084.     maintain sort order" settings in the sort page of the settings notebook. 
  1085.  
  1086.  Arrange 
  1087.     Check this box to grant user access to the Arrange item in the folder's 
  1088.     pop-up menu. Deny this privilege to prevent the user from rearranging the 
  1089.     objects in the folder. 
  1090.  
  1091.  Find 
  1092.     Check this box to grant user access to the Find... item in the folder's 
  1093.     pop-up menu. Deny this privilege to prevent the user from performing find 
  1094.     operations from the pop-up menu. 
  1095.  
  1096.  Details view 
  1097.     Check this box to allow the user to open a folder's Details View Remove the 
  1098.     check to prevent the user from opening the object's details view. 
  1099.  
  1100.  Tree view 
  1101.     Check this box to allow the user to open the folder's Tree View Remove the 
  1102.     check to prevent the user from opening the Tree view. 
  1103.  
  1104.  Open Parent 
  1105.     Check this box to grant user access to the Open Parent pop-up menu Item. 
  1106.     Remove the check to prevent the user from opening the folder's parent. 
  1107.  
  1108.  See Also. 
  1109.  
  1110.    o Basic Privileges 
  1111.    o Desktop menu privileges 
  1112.    o Disk menu privileges 
  1113.    o Adding User Privileges 
  1114.    o Changing User Privileges 
  1115.    o Deleting User Privileges 
  1116.    o Simple Instructions for Granting User Privileges 
  1117.  
  1118.  
  1119. ΓòÉΓòÉΓòÉ 4.3. Deskop Menu privileges ΓòÉΓòÉΓòÉ
  1120.  
  1121. The desktop menu privilege page lets you assign user privileges to pop-up menu 
  1122. items that are unique to a desktop. Each checkbox controls a different pop-up 
  1123. menu item. These items behave as follows: 
  1124.  
  1125.  Shutdown 
  1126.     Check this box to grant user access to the Shutdown item in the desktop's 
  1127.     pop-up menu. Deny this privilege to prevent the user from performing a 
  1128.     system shutdown from the desktop pop-up menu. You can still perform a 
  1129.     system shutdown with the SHUTDOWN.EXE program provided with The Secure 
  1130.     Workplace. 
  1131.  
  1132.  Lockup 
  1133.     Check this box to grant user access to the Lockup Now item in the desktop's 
  1134.     pop-up menu. Deny this privilege to prevent the user from manually locking 
  1135.     the desktop. This privilege does not override the Lock on startup or 
  1136.     Automatic lockup settings in the lockup page of the settings notebook. 
  1137.  
  1138.  System Setup 
  1139.     Check this box to grant user access to the System Setup item in the 
  1140.     desktop's pop-up menu. Deny this privilege to prevent the user from gaining 
  1141.     access to the system setup folder from the desktop's pop-up menu. This 
  1142.     privilege does not override any privilege you assign to the system setup 
  1143.     folder or its parent folders. 
  1144.  
  1145.  See Also. 
  1146.  
  1147.    o Basic Privileges 
  1148.    o Folder menu privileges 
  1149.    o Disk menu privileges 
  1150.    o Adding User Privileges 
  1151.    o Changing User Privileges 
  1152.    o Deleting User Privileges 
  1153.    o Simple Instructions for Granting User Privileges 
  1154.  
  1155.  
  1156. ΓòÉΓòÉΓòÉ 4.4. Disk Menu privileges ΓòÉΓòÉΓòÉ
  1157.  
  1158. The disk menu privilege page lets you assign user privileges to pop-up menu 
  1159. items that are unique to disk objects. Each checkbox controls a different 
  1160. pop-up menu item. These items behave as follows: 
  1161.  
  1162.  Check Disk 
  1163.     Check this box to grant user access to the Check Disk item in the disk's 
  1164.     pop-up menu. Deny this privilege to prevent the user from performing a 
  1165.     check disk from the pop-up menu. 
  1166.  
  1167.  Format Disk 
  1168.     Check this box to grant user access to the Format Disk item in the disk's 
  1169.     pop-up menu. Deny this privilege to prevent the user from performing a 
  1170.     format disk from the pop-up menu. 
  1171.  
  1172.  Copy Disk 
  1173.     Check this box to grant user access to the Copy Disk item in the disk's 
  1174.     pop-up menu. Deny this privilege to prevent the user from copying disks. 
  1175.  
  1176.  Partition Disk 
  1177.     Check this box to grant user access to the Partition Disk item in the 
  1178.     Drives's pop-up menu. 
  1179.  
  1180.  See Also. 
  1181.  
  1182.    o Basic Privileges 
  1183.    o Folder menu privileges 
  1184.    o Desktop menu privileges 
  1185.    o Adding User Privileges 
  1186.    o Changing User Privileges 
  1187.    o Deleting User Privileges 
  1188.    o Simple Instructions for Granting User Privileges 
  1189.  
  1190.  
  1191. ΓòÉΓòÉΓòÉ 4.5. Adding a privilege ΓòÉΓòÉΓòÉ
  1192.  
  1193. Follow the procedure below to add a user privilege to an object. 
  1194.  
  1195.   1. Open the object's settings notebook. 
  1196.   2. Turn to the Privilege tab. 
  1197.   3. Bring up the user list by pressing the drop down button to the right of 
  1198.      the user entry field. 
  1199.   4. Select the user or group that will receive the privilege. 
  1200.  
  1201.      Users have a prefix of (U), and groups have a prefix of (G). 
  1202.   5. Check the privileges you want to grant. 
  1203.   6. If Page 2 exists, turn to page 2. 
  1204.   7. Check the folder menu privileges you want to grant. 
  1205.   8. If page 3 exists, turn to page 3. 
  1206.   9. Check the privileges you want to grant. 
  1207.  10. Return to page 1. 
  1208.  11. Press the Add button. 
  1209.  12. Repeat this procedure for each user user or group who will be granted a 
  1210.      privilege. 
  1211.  
  1212.  See Also: 
  1213.  
  1214.    o Basic Privileges 
  1215.    o Folder Privileges 
  1216.    o Desktop Privileges 
  1217.    o Disk Privileges 
  1218.    o Changing User Privileges 
  1219.    o Deleting User Privileges 
  1220.    o Simple Instructions for Granting User Privileges 
  1221.  
  1222.  
  1223. ΓòÉΓòÉΓòÉ 4.6. Changing a user privilege ΓòÉΓòÉΓòÉ
  1224.  
  1225. Follow the procedure below to change a user's privilege to an object. 
  1226.  
  1227.   1. Open the object's settings notebook. 
  1228.   2. Turn to the Privilege tab. 
  1229.   3. Bring up the user list by pressing the drop down button to the right of 
  1230.      the User entry field. 
  1231.   4. Select the user or group that will receive the privilege. 
  1232.  
  1233.      Users have a prefix of (U), and groups have a prefix of (G). 
  1234.   5. Check the privileges you want to grant. 
  1235.   6. If Page 2 exists, turn to page 2. 
  1236.   7. Check the folder menu privileges you want to grant. 
  1237.   8. If page 3 exists, turn to it. 
  1238.   9. Check the menu privileges you want to grant. 
  1239.  10. Return to page 1. 
  1240.  11. Press the Save button. 
  1241.  
  1242.  See Also: 
  1243.  
  1244.    o Basic Privileges 
  1245.    o Folder Privileges 
  1246.    o Desktop Privileges 
  1247.    o Disk Privileges 
  1248.    o Adding User Privileges 
  1249.    o Deleting User Privileges 
  1250.    o Simple Instructions for Granting User Privileges 
  1251.  
  1252.  
  1253. ΓòÉΓòÉΓòÉ 4.7. Deleting a user Privilege ΓòÉΓòÉΓòÉ
  1254.  
  1255. Follow the procedure below to delete a user's privilege to an object. 
  1256.  
  1257.   1. Open the object's settings notebook. 
  1258.   2. Turn to the Privilege tab. 
  1259.   3. Bring up the user list by pressing the drop down button to the right of 
  1260.      the User entry field. 
  1261.   4. Select the user or group from the drop down list. 
  1262.  
  1263.      Users have a prefix of (U), and groups have a prefix of (G). 
  1264.   5. Press the Delete button. 
  1265.   6. Repeat this procedure for each user whose privilege you want to delete. 
  1266.  
  1267.  See Also: 
  1268.  
  1269.    o Basic Privileges 
  1270.    o Folder Privileges 
  1271.    o Desktop Privileges 
  1272.    o Disk Privileges 
  1273.    o Adding User Privileges 
  1274.    o Changing User Privileges 
  1275.    o Simple Instructions for Granting User Privileges 
  1276.  
  1277.  
  1278. ΓòÉΓòÉΓòÉ 4.8. Simple instructions for granting user privileges ΓòÉΓòÉΓòÉ
  1279.  
  1280. These instructions are intended to get you started quickly and to demonstrate a 
  1281. simple but effective security policy. You can use the environment or expand it 
  1282. to fit your needs. 
  1283.  
  1284.   1. Signon as an Administrator. 
  1285.  
  1286.   2. Open the Security Administration notebook and turn to the Policy page. 
  1287.  
  1288.   3. Remove the checkmark from the Grant public privilges by default box. 
  1289.  
  1290.   4. Configure any other policies you require. The Screen Saver is a handy 
  1291.      feature to select. 
  1292.  
  1293.   5. Turn to the User tab. 
  1294.  
  1295.   6. Add at least one administrator. 
  1296.  
  1297.   7. Add as many users as you require. Skip this step if you decide to use 
  1298.      Single Sign-on. If you are working with a notebook computer then add users 
  1299.      who can take the notebook away. 
  1300.  
  1301.   8. Turn to the Groups Tab. 
  1302.  
  1303.   9. Add a group that includes everyone. Lets say you called the group 
  1304.      EVERYONE. This EVERYONE group includes all users even ones that have not 
  1305.      been defined yet. It includes users that are authenticated by your Single 
  1306.      Signon procedure, but who do not have a local definition. 
  1307.  
  1308.  10. Close the Security Administration notebook. 
  1309.  
  1310.  11. Open the Desktop settings notebook. 
  1311.  
  1312.  12. Turn to the Privileges Tab. 
  1313.  
  1314.  13. Select the EVERYONE group (ie.(G)EVERYONE). 
  1315.  
  1316.  14. Grant Visible, Open, and Execute Privileges on page 1. 
  1317.  
  1318.  15. Grant Sort and Arrange on page 2. 
  1319.  
  1320.  16. Grant Lockup and Shutdown on page 3. 
  1321.  
  1322.  17. Return to page 1 and press the Add Button. 
  1323.  
  1324.  18. Close the desktop settings notebook. 
  1325.  
  1326.  19. Open the OS/2 System folder's settings notebook. 
  1327.  
  1328.  20. Turn to the Privileges Tab. 
  1329.  
  1330.  21. Select the EVERYONE Group. 
  1331.  
  1332.  22. Deny all Privileges and Press the Add Button. 
  1333.  
  1334.  23. Move all objects you want to protect into the OS/2 System folder. 
  1335.  
  1336.      Be sure to move The Secure Workplace folder. and the Command Prompts 
  1337.      folder into the OS/2 System folder. 
  1338.  
  1339.  24. You are done. 
  1340.  
  1341.  25. Test the configuration by signing on as different users. 
  1342.  
  1343.      The OS/2 System folder will be invisible to everyone except 
  1344.      administrators. 
  1345.  
  1346.  Adding Launchpad Restrictions 
  1347.  
  1348.  Althought these instructions are optional, you might find them convenient. 
  1349.  
  1350.   1. Open the Launchpad settings notebook and turn to page 2 of the options 
  1351.      tab. 
  1352.  
  1353.   2. Select the Do not display actions button 
  1354.  
  1355.   3. Close the launch pad notebook. 
  1356.  
  1357.   4. Open your CONFIG.SYS file with the system editor. 
  1358.  
  1359.   5. Remove the LAUNCHPAD option from the AUTOSTART line. 
  1360.  
  1361.   6. Save the CONFIG.SYS file. 
  1362.  
  1363.   7. Reboot your computer. 
  1364.  
  1365.  Adding another group of users with additonal privileges 
  1366.  
  1367.  The procedure above created two groups of users. These are Administrators and 
  1368.  everyone else. Suppose you have a third group that needs additonal privileges 
  1369.  you do not want to grant to EVERYONE. Here is a procedure you can expand on: 
  1370.  
  1371.   1. Open the Security Administration notebook turn to the Groups tab. 
  1372.  
  1373.   2. Add a group that includes only the users you want to work with. Lets call 
  1374.      this group SUPERUSERS for want of a better name. You can make-up your own 
  1375.      name to fit your requirements. 
  1376.  
  1377.   3. Create a folder that will contain the objects SUPERUSERS can access. Lets 
  1378.      call the folder SupersOnly 
  1379.  
  1380.   4. Move what-ever objects the SUPERUSER group needs into this folder. 
  1381.  
  1382.   5. Open the SupersOnly settings notebook. 
  1383.  
  1384.   6. Turn to the Privileges Tab. 
  1385.  
  1386.   7. Select the SUPERUSER group. 
  1387.  
  1388.   8. Grant Visible, Open, Execute, Sort and Arrange. 
  1389.  
  1390.   9. Press the Add button. 
  1391.  
  1392.  10. Select the SUPERUSER group. 
  1393.  
  1394.  11. Deny ALL Privileges. 
  1395.  
  1396.  12. Press the Add button. 
  1397.  
  1398.  13. Close the settings notebook. 
  1399.  
  1400.  14. You are done. 
  1401.  
  1402.  15. Test the configuration. 
  1403.  
  1404.      When a member of the SUPERUSER group signs-on the SupersOnly folder will 
  1405.      be visible. When any other user signs-on the folder will be invisible. 
  1406.  
  1407.  See Also: 
  1408.  
  1409.    o Basic Privileges 
  1410.    o Folder Privileges 
  1411.    o Desktop Privileges 
  1412.    o Disk Privileges 
  1413.    o Adding User Privileges 
  1414.    o Changing User Privileges 
  1415.    o Deleting User Privileges 
  1416.